如何在代码执行Snowflake的USE ROLE时防范SQL注入？

我正在使用Snowflake，且已在Spring Boot应用中配置JDBC连接。通过Spring的org.springframework.jdbc.core.JdbcTemplate执行如下代码实现角色切换：

public void setRole(String role) {
    jdbcTemplate.execute("USE ROLE " + role);
}

由于业务需要，无论role参数的值来源如何，都需要在程序中多次切换指定角色。但这种写法被CodeQL代码扫描工具检测出存在SQL注入风险，我不确定Snowflake的USE ROLE语句是否支持PreparedStatement，想了解如何防范SQL注入，或是该扫描结果是否属于误报？

首先明确：CodeQL的告警不是误报，直接拼接字符串的写法确实存在SQL注入风险，比如传入恶意构造的role值可能触发非预期的SQL执行。另外，Snowflake的USE ROLE语句不支持通过PreparedStatement绑定角色参数，因为角色名属于SQL标识符，而非普通参数值，预编译语句无法对这类语法元素做参数化处理。

以下是几种有效的防范方案：

1. 白名单校验（推荐） #

维护一个合法角色的白名单，只有当传入的角色名在白名单内时才允许执行切换操作，从根源上阻断恶意输入：

// 提前定义系统中所有合法的角色
private static final Set<String> VALID_ROLES = Set.of("ADMIN", "APP_USER", "READ_ONLY");

public void setRole(String role) {
    String upperRole = role.toUpperCase();
    if (!VALID_ROLES.contains(upperRole)) {
        throw new IllegalArgumentException("不允许使用的角色：" + role);
    }
    jdbcTemplate.execute("USE ROLE " + upperRole);
}

2. 使用Snowflake JDBC原生API #

Snowflake的JDBC驱动提供了直接设置角色的API，无需拼接SQL语句，彻底避免注入风险：

import java.sql.Connection;
import java.sql.SQLException;
import org.springframework.jdbc.datasource.DataSourceUtils;
import net.snowflake.client.jdbc.SnowflakeConnectionV1;

public void setRole(String role) throws SQLException {
    // 从Spring获取连接（符合Spring连接管理规范）
    Connection conn = DataSourceUtils.getConnection(jdbcTemplate.getDataSource());
    try {
        // 转换为Snowflake连接实例并调用setRole方法
        ((SnowflakeConnectionV1) conn).setRole(role);
    } finally {
        // 释放连接回数据源
        DataSourceUtils.releaseConnection(conn, jdbcTemplate.getDataSource());
    }
}

注意：需确保项目引入Snowflake JDBC驱动依赖，且连接实例为Snowflake的实现类。

3. 标识符转义（备选方案） #

如果必须通过拼接SQL实现，可按照Snowflake的标识符规则对角色名进行转义：用双引号包裹角色名，同时将角色名中的双引号替换为两个双引号（Snowflake的转义规则）：

public void setRole(String role) {
    // 转义角色名中的双引号
    String escapedRole = role.replace("\"", "\"\"");
    // 用双引号包裹角色名
    jdbcTemplate.execute("USE ROLE \"" + escapedRole + "\"");
}

这种方式能降低注入风险，但不如白名单或原生API安全，仅在无法使用前两种方案时考虑。

内容的提问来源于stack exchange，提问作者ikos23